CVE-2026-19598
CVSS 9.8 CRITICAL: the Pods – Custom Content Types and Fields plugin for WordPress is vulnerable to Privilege Escalation via Authorization Bypass in all versions up to, and including, 3.3.9. EPSS 4% (89º percentile).
Vulnerabilità ed exploit · Attacco ad app web
Wordfence e Patchstack hanno ampliato il quadro: non c’è più solo la chain di Avada, ma cinque flaw critiche in componenti WordPress di WPMU DEV, Avada, TranslatePress, Pods e GiveWP. Il risultato pratico è che un sito può restare esposto a takeover o RCE anche dopo aver corretto un singolo plugin.
Le falle vanno dall’authentication bypass all’arbitrary file write, dalla privilege escalation alla disclosure di dati sensibili fino all’esecuzione di comandi su GiveWP. In alcuni casi non serve un login; basta che siano attive certe funzioni del plugin o che siano presenti combinazioni specifiche di componenti e configurazioni. Questo trasforma un livello applicativo fidato in un percorso diretto verso l’admin o verso il server.
Per chi gestisce stack WordPress basati su plugin, il punto non è solo una CVE da chiudere. Restano possibili più vie di compromissione sullo stesso sito, e una correzione parziale può lasciare intatta un’altra strada di takeover nello stesso ambiente.
2 fonti · 29 ago
CVSS 9.8 CRITICAL: the Pods – Custom Content Types and Fields plugin for WordPress is vulnerable to Privilege Escalation via Authorization Bypass in all versions up to, and including, 3.3.9. EPSS 4% (89º percentile).
CVSS 9.8 CRITICAL: the Avada theme for WordPress is vulnerable to Arbitrary File Write in all versions up to, and including, 7.16 when… EPSS 0.9% (59º percentile).
CVSS 10 CRITICAL: deserialization of Untrusted Data vulnerability in Liquid Web / StellarWP GiveWP allows Object Injection. This issue…
The Hacker News
Five Critical WordPress Plugin and Theme Flaws Enable Site Takeover or RCE
Critical flaws in WPMU DEV, Avada, TranslatePress, Pods, and GiveWP can enable admin takeover or remote code execution.
originaleBleepingComputer
Critical Avada WordPress theme flaw enables zero-click RCE
A critical vulnerability chain in the popular Avada theme for WordPress can be exploited by an unauthenticated attacker to execute arbitrary PHP code on the server.
originalePart of the PlainSec briefing for 2026-08-30
Every edition of this story: Cinque plugin WordPress aprono la strada al takeover